GREとは何ですか？

汎用ルーティングカプセル化（GRE）は、あるネットワーク層プロトコルのパケットを別のプロトコルでカプセル化する軽量なトンネリングプロトコルであり、IP以外のプロトコルを含むトラフィックが、インターネットなどの中間ネットワークを経由できるようにします。GRE自体には暗号化機能がないため、多くの場合IPsecと組み合わせて使用されるほか、機密性が求められない場合には単独で使用されることもあります。

主なポイント

• GREは、転送の際に、あるネットワーク層プロトコルのパケットを別のプロトコルのパケットでカプセル化します。
• これ自体では暗号化機能は備わっていません。機密性を確保するには、IPsecと組み合わせて使用してください。
• VOSは、ポイント・ツー・ポイント、ポイント・ツー・マルチポイント、およびEthernet-over-GREトンネルに対応しています。
• GREキーは、同じエンドポイントを共有する複数のトンネルを区別します。
• AWS Transit Gateway などのクラウドプロバイダーは、トンネルプロトコルとして GRE を提供しています。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ GRE およびVersa · よくある質問

GREはなぜ重要なのでしょうか？

GREは、最新のVPN技術のほとんどよりも前から存在しており、IPネットワーク上の2地点間にルーティング可能なトンネルを構築するためのシンプルな手段として今も利用されています。ステートレス（ネゴシエーションやセッション確立が不要）であるため、オーバーヘッドをほとんど伴わずに導入でき、ペイロードがIP形式でない場合（レガシープロトコルやブリッジされたイーサネットフレームなど）でも機能します。

そのシンプルさゆえに、GREはインフラとしても有用です。ポリシーベースのIPsecトンネルとは異なり、GREトンネルは真の仮想インターフェースであるため、その上でルーティングプロトコルを実行して、到達可能性を動的に通知することができます。 クラウドプロバイダーはこの特性を直接活用しています。AWS Transit Gatewayやその他のクラウドトランジットハブでは、IPsecと並行してGREを提供しており、これによりリモートデバイスがトンネルを介してBGPピアリングを行うことが可能です。これが、GREが定義されてから数十年が経過した今でも、クラウド、キャリア、SD-WANの設計の至る所で依然として採用されている理由です。

GREとは何ですか？

GREトンネルでは、各元のパケットをGREヘッダー（カプセル化されたプロトコルの種類、およびオプションでキーとシーケンス番号が記録される）で包み込み、さらにリモート側のトンネルエンドポイント宛ての新しい外側のIPヘッダーで包み込みます。受信側のデバイスは両方のヘッダーを剥がし、元のパケットがネイティブに届いたかのように転送するため、エンドポイント間の実際のルーター構成にかかわらず、トンネルは単一ホップのように動作します。

GRE自体には暗号的な状態情報は一切含まれていません。つまり、認証も、暗号化も、整合性チェックも行われません。2つのエンドポイントは、送信元アドレスと宛先アドレスについて合意し、そのままカプセル化を開始します。IKEのように、最初に鍵をネゴシエートするような仕組みは存在しません。これは設計上の仕様です。GREは配信メカニズムであり、セキュリティプロトコルではないからです。そのため、経路の信頼性が確保されていない場合は、設計者がGREの下層にIPsecを配置するのです。

GREトンネルの種類

ポイント・トゥ・ポイント GRE は、IPv4 上で正確に 2 つの固定エンドポイントを接続するもので、最も一般的な形式です。つまり、単一の送信元アドレスと宛先アドレスによってトンネルが定義されます。ポイント・トゥ・ポイント IPv6 GRE は、IPv6 配信ネットワーク上で同様のモデルを採用しています。GRE上のイーサネットは、ルーティングされたパケットではなくレイヤ2フレームをブリッジし、VLANタグ付きサブインターフェースをサポートします。これは、とりわけ、ローエンドの家庭用ゲートウェイを経由してモビリティトラフィックをバックホールするために使用されます。

ポイント・トゥ・マルチポイント GRE では、単一のトンネルインターフェースが、1 つの固定されたピアではなく、多数のリモートエンドポイントに到達できるようになります。これは、すべての宛先をハードコーディングするのではなく、NHRP（Next Hop Resolution Protocol）を使用して各ピアのアドレスを動的にマッピングすることで実現されます。このモデルを統合するのがGRE キーです。これは、GRE ヘッダー内のオプションの識別子であり、同じ送信元アドレスと宛先アドレスを共有する複数のトンネルを区別する役割を果たします。これにより、1 つのピアに対して複数のトンネルを終端するデバイスでも、それらを区別することが可能になります。

GRE およびVersa

VOS は、GRE をトンネル（tvi）インターフェースとして設定します。サポートされているタイプは、ポイント・トゥ・ポイント GRE、ポイント・トゥ・ポイント IPv6 GRE、Ethernet-over-GRE、およびポイント・トゥ・マルチポイント GRE の 4 種類であり、最後のタイプは静的 NHRP マッピングに基づいて構築されます。 各トンネルには、送信元アドレス、宛先アドレス、ルーティングインスタンス、MTU、およびオプションのGREキーが必要です。ポイント・トゥ・マルチポイントGREでは、さらにリモートルーターのループバックをそのNBMAトランスポートアドレスにマッピングするため、VOSはトンネルとホストルートを自動的に構築し、L3VPNデータ用にMPLS-over-GREカプセル化を行います。フィールドごとの詳細な手順については、「インターフェースの設定」を参照してください。

デバイス間のインターフェースに加え、サイト間トンネルのワークフローにより、VOS CPE デバイスは IPsec の代替手段として、クラウドやサードパーティのピアへの GRE トンネルを構築できます。AWS Transit Gateway は、BGP ピアリングを介した GRE をサポートしており、Zscaler の GRE トンネルは、支社接続用に冗長ペアとしてプロビジョニングされます。

よくある質問

GREとIPsecの違いは何ですか？

GREはパケットをカプセル化しますが、暗号化や認証は行いません。一方、IPsecは暗号化と認証を行いますが、ルーティング可能なインターフェースというよりは、ポリシーに基づいた仕組みです。多くの導入事例では、これら両方を組み合わせた「GRE over IPsec」を採用しており、IPsecによる機密性と完全性の保証を備えたルーティング可能なトンネルを実現しています。

GREはトラフィックを暗号化しますか？

いいえ。GREは、パケットをカプセル化して転送するのみであり、機密性、完全性チェック、認証機能は提供しません。プレーンなGREトンネルを介して送信されるトラフィックは、カプセル化されていないトラフィックと同様に、中継ネットワークから丸見えとなります。そのため、機密性の高いトラフィックには通常、IPsecが重ねて適用されます。

GREキーは何に使われるのですか？

GREキーは、GREヘッダー内のオプションフィールドであり、複数のトンネルが同じ送信元アドレスおよび宛先アドレスを共有する場合に、各トンネルを識別するためのものです。これにより、受信側は、アドレス情報のみに依存することなく、到着したパケットがどの論理トンネルに属するかを判別することができます。

GREはIP以外のトラフィックを伝送できますか？

その通りです。GREは、IPだけでなくあらゆるネットワーク層プロトコルのトラフィックをカプセル化します。これが、GREが多くの専用トンネリング方式よりも早く登場し、それらよりも長く使われ続けている理由の一つです。Ethernet-over-GREはこれをさらに発展させ、トンネル内でVLANタグ付きトラフィックを含むレイヤ2フレームをブリッジします。

ポイント・トゥ・マルチポイント GRE とは何ですか？

ポイント・トゥ・マルチポイント GRE では、1 つのトンネルインターフェースが、単一の固定宛先ではなく複数のリモートエンドポイントに到達できるようになります。これは、デバイスが参加する際に NHRP を使用して各ピアのアドレスを動的にマッピングすることで実現されます。これは、リモート宛先が事前に判明していないハブ・アンド・スポーク型やメッシュ型の設計の基盤となっています。

GREに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

GREについて調べているなら、次はこれらもチェックしてみる価値があります。